一名白帽黑客在发现以太坊上的Wormhole核心桥接合约中的一个关键安全漏洞后，获得了创纪录的1000万美元的漏洞赏金奖励。Wormhole是一种去中心化的通用消息传递协议，可实现以太坊、Terra 和币安智能链 (BSC) 等区块链之间的互操作性。漏洞在提交当天已经同步修复。

根据发布的概念证明（PoC），利用该漏洞的攻击者“可能会以以太坊虫洞桥被砖砌的威胁来勒索整个协议，并且该合约中的所有资金将永远丢失”通过Immunefi到GitHub。

PoC还指出，“在提交时，合同中存在价值7.36亿美元的资产”。

Wormhole将其Immunefi托管的漏洞赏金计划的最高奖金授予在线化名“satya0x”的漏洞猎手。

该漏洞被描述为“可升级的代理实现自毁错误”，于 2 月 24 日得到验证和修补，同一天 Satya0x 报告了该问题。

Wormhole漏洞出现在通用可升级代理标准(UUPS)代理的实现“在先前的错误修复恢复原始初始化后未初始化，这意味着攻击者可以通过他们自己的守护者集并作为他们控制的守护者继续升级”，根据Immunefi发布的博客文章。

然后，攻击者可以使用submitContractUpgrade()强制升级尝试，导致对攻击者提交的地址的DELEGATECALL，通过执行SELFDESTRUCT操作码可以破坏实现合同。

“我很自豪能够在缓解严重的漏洞和对生态系统的系统性威胁方面发挥作用，”Satya0x说，他称赞Wormhole对“整个漏洞赏金过程”的处理以及Immunefi是“知识渊博、可见且可信的中立”第三方”。

去中心化金融(DeFi)平台的成功入侵导致频繁的巨额损失说明了提供如此巨额奖励的动机——尤其是今年早些时候从 Wormhole 本身被盗的3.25亿美元。

这笔奖金超过了之前的漏洞赏金记录——区块链技术公司Polygon于2021年10月向白帽黑客Gerhard Wagner支付了200万美元，用于奖励“双花”漏洞。